Problem mit Port-Forwarding und OPNsense-Cluster hinter Fritz!Box

[harald99]

die OPNs sind HW.
Ich habe alle CARP Adressen testweise auf unicast gestellt, gleiches Problem.

[Patrick M. Hausen]

Was ist das für ein Cluster? Was macht das Ding?

Ich denke inzwischen eher in Richtung "MAC Adresse fälschen" klappt nicht, weil irgendein Teil das unterbindet. Siehst du ARP replies bis zur Fritzbox?

[harald99]

Ein ganz normales ICX Cluster/Stack, 2 Units.

Werd gleich mal nach den arps sehen

[harald99]

ARP replies kommen von der fritz

[Patrick M. Hausen]

Umgekehrt. Bekommt die Fritzbox replies von der CARP Adresse?

[harald99]

gibt es einen trick bei der fritz den arp cache zu leeren ohne reboot?

[Patrick M. Hausen]

Keine Ahnung. Gratuitious ARP schicken?

Aber nochmal: was ist das für ein "Cluster Dings"? Und wo hast du bisher die Packet Traces gemacht?

[harald99]

arp request von der fritz für die 192.168.9.1 kommt

[harald99]

Aber nochmal: was ist das für ein "Cluster Dings"? Und wo hast du bisher die Packet Traces gemacht?

Ein ganz normales Switches Cluster auch Stack genannt.
Zwei Switch zu einer logischen Einheit zusammengesetzt.

Der Switch macht nur Layer 2, routing Funktionen werden nicht genutzt.

Captures jeweils auf der OPNsense.
Könnte alternativ in das Kabel zur Fritz!Box eine Allegro einschleifen.

[harald99]

so, einen Schritt weiter:

die Weiterleitung auf http und https funktioniert.

FTP leider immer noch nicht.

Der FTP steht in VLAN666, wenn ich von Innen (VLAN99) per Routing auf den FTP zugreife, funktioniert alles.
Von Aussen über das Port Forwarding funktioniert das Login, aber beim Listing des FTP-Verzeichnisses bleibt es hängen.

Beide Verbindungen über FTP mit SSL.

Ich habe auch noch andere FTP-Server in VLAN666 und VLAN99 ausprobiert, gleiches Ergebnis, von Innen (Routing) funktioniert alles, von aussen (Port Forwarding) geht wieder nur der Login, aber kein Listing.

[harald99]

Über den ftp-proxy als reverse funktioniert es einwandfrei, das ist ein workaround.

Ich würde trotzdem gerne wissen, warum es ohne mit dem listing nicht funktioniert.

[harald99]

Aus dem englischen Forum gibt es die Vermutung, dass zwar der Control Kanal steht, aber der Data Kanel geblockt wird.

[Patrick M. Hausen]

Auch dann müsstest du das erste SYN-Paket für den Control-Kanal sehen, aber das kommt doch angeblich nie am Server an?

Verbindung aufbauen, Login etc. geht alles über den Control-Kanal. Erst wenn du ein DIR, GET oder PUT absetzt, wird ein Datenkanal aufgebaut.